ASP.NET Core应用从MS Graph委托权限切换至应用权限的疑问

一、核心问题解答 #

1. 服务账号操作真实用户共享驱动器的潜在问题 #

• 权限风险更高：应用权限需要申请诸如Files.ReadWrite.All、Sites.ReadWrite.All这类全局权限，一旦服务账号泄露，攻击者能访问所有授权范围内的资源，不像委托权限仅局限于当前登录用户的权限边界。
• 共享权限需明确配置：服务账号必须被主动添加到目标共享文件夹的权限列表中（不管是内部账号还是外部身份），否则即便有应用权限，也无法访问用户的私人共享文件夹。如果是组织内的团队共享，还要确保服务账号拥有对应的目录级权限。
• 审计追溯困难：所有操作都会被记录为服务账号的行为，无法关联到实际发起操作的终端用户，不利于后续的审计和责任认定。
• API端点不能用/me：应用权限模式下，Graph API不能使用/me这类依赖当前用户身份的端点，必须通过用户ID、驱动器ID或站点ID来定位资源。

2. 访问令牌的颁发对象 #

没错，切换到应用权限后，访问令牌是**针对服务账号（即应用自身身份）**颁发的，和终端用户的登录状态完全无关。这种模式用的是客户端凭据流，直接通过应用的客户端ID、密钥（或证书）向Azure AD请求令牌，全程不需要用户参与。

二、代码修改建议 #

1. Program.cs 配置调整（适配应用权限） #

需要移除原有的用户认证相关的Azure AD配置，改用客户端凭据流来获取Graph令牌；如果要保留Okta做用户登录，单独配置Okta的认证即可：

// 应用权限的Graph范围，固定用.default表示申请的所有应用权限
var graphScopes = new[] { "https://graph.microsoft.com/.default" };

// 配置Graph服务客户端使用客户端凭据流
builder.Services.AddMicrosoftGraph(options =>
{
    options.Scopes = string.Join(" ", graphScopes);
}).AddClientCredentials(builder.Configuration.GetSection("AzureAd"));

// 如果需要保留Okta用户认证，添加以下配置（按需启用）
// builder.Services.AddAuthentication(options =>
// {
//     options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
//     options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
//     options.DefaultChallengeScheme = OktaDefaults.MvcAuthenticationScheme;
// })
// .AddCookie()
// .AddOktaMvc(new OktaMvcOptions
// {
//     OktaDomain = builder.Configuration["Okta:Domain"],
//     ClientId = builder.Configuration["Okta:ClientId"],
//     ClientSecret = builder.Configuration["Okta:ClientSecret"],
//     CallbackPath = "/authorization-code/callback"
// });

对应的配置文件（appsettings.json）需要补充Azure AD应用的身份信息：

"AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "TenantId": "你的租户ID",
    "ClientId": "你的应用客户端ID",
    "ClientSecret": "你的应用客户端密钥",
    "ClientCertificates": [] // 如果用证书认证，在这里配置证书信息
}

2. OneDrive服务类修改（适配应用权限） #

移除原有的ITokenAcquisition、MicrosoftIdentityConsentAndConditionalAccessHandler这类依赖用户身份的组件，直接使用客户端凭据流的GraphServiceClient：

public class OneDrive : IOneDrive
{
    private readonly GraphServiceClient _graphServiceClient;

    public OneDrive(GraphServiceClient graphServiceClient)
    {
        _graphServiceClient = graphServiceClient;
    }

    public async Task<IDriveItemSearchCollectionPage> DriveItemSearchAsync(string userId, string driveId, string searchItem)
    {
        var queryOptions = new List<QueryOption>()
        {
            new QueryOption("select", "name,id,webUrl")
        };

        // 应用权限下不能用/me，需要指定用户ID来定位其驱动器
        return await _graphServiceClient.Users[userId].Drives[driveId].Root
                .Search(searchItem)
                .Request(queryOptions)
                .GetAsync();
    }
}

提示：如果共享文件夹是直接授权给服务账号的，也可以直接用_graphServiceClient.Drives[driveId].Root来访问，无需指定用户ID。

三、额外注意事项 #

• 权限需要管理员同意：在Azure AD门户为应用注册申请应用权限后，必须由全局管理员完成权限同意操作，否则应用无法获取有效令牌。
• Okta与Graph操作解耦：切换到Okta做用户认证后，服务账号的Graph操作和用户的Okta身份完全独立，只需要确保应用自身能通过客户端凭据流正常获取Graph令牌即可。
• 令牌缓存自动处理：Microsoft Graph SDK会自动缓存客户端凭据流获取的令牌，不需要手动实现缓存逻辑。

内容的提问来源于stack exchange，提问作者Qiuzman